El filtrado de Exchange Online Protection (EOP) explicado: puntuaciones SCL, BCL y PCL

Exchange Online Protection (EOP) es la capa de filtrado de correo que está delante de cada buzón de Microsoft 365. Se ejecuta antes de cualquier política de Defender for Office 365 a nivel de tenant y decide tres cosas en los primeros cien milisegundos:

1. ¿Hay que rechazar el mensaje directamente?
2. Si se acepta, ¿qué puntuación de spam debe llevar?
3. Si es masivo, ¿con cuánta dureza hay que filtrarlo?

Las respuestas están en los encabezados del mensaje. Si sabes leerlos, puedes depurar la entregabilidad en Microsoft 365 sin adivinar.

Spam Confidence Level (SCL)

X-MS-Exchange-Organization-SCL: 1

SCL	Significado	Acción predeterminada
-1	En lista de permitidos / remitente seguro	Se omite el filtrado
0	No es spam	Bandeja de entrada
1	No es spam	Bandeja de entrada
5	Spam	Carpeta de correo no deseado
6	Spam	Carpeta de correo no deseado
7	Spam de alta confianza	No deseado o cuarentena
8	Spam de alta confianza	No deseado o cuarentena
9	Spam de alta confianza	Cuarentena o rechazo

EOP casi nunca produce SCL de 2, 3 o 4, así que en la práctica la escala es escalonada. Históricamente, SCL 5 o más significaba spam, pero Microsoft ahora dice que el valor SCL ya no decide el veredicto ni la acción en los buzones en la nube; los valores CAT y SFV de X-Forefront-Antispam-Report te dicen lo que realmente pasó.

Bulk Complaint Level (BCL)

X-Microsoft-Antispam: BCL:4

BCL califica el historial de quejas del remitente, no el contenido del mensaje. Es una escala de 0 a 9, donde 0 = no viene de un remitente masivo y 8 o 9 = un remitente masivo que recibe muchas quejas.

Los administradores del tenant fijan un umbral de BCL (7 por defecto). Los mensajes por encima del umbral se filtran a no deseado aunque el SCL sea bajo.

Si tu correo transaccional llega bien pero tu correo de marketing termina en no deseado en el mismo tenant, el motivo suele ser el BCL: tu IP / dominio tiene un historial de quejas que EOP toma en cuenta.

Phishing Confidence Level (PCL)

El PCL (de 0 a 8) solo aparece en los mensajes que EOP sospecha de suplantación o phishing. Un PCL ≥ 4 normalmente manda el mensaje a cuarentena sin importar el SCL. Lo vas a ver si envías correo que incluye nombres de marcas, solicitudes de inicio de sesión o textos sobre contraseñas.

Cómo leer el encabezado antispam completo

El encabezado compacto que hay que estudiar es X-Microsoft-Antispam:

X-Microsoft-Antispam: BCL:4;ARA:13230040|2092899012|26050799012;

El valor ARA es interno y casi siempre puedes ignorarlo. Los campos que importan:

• BCL: lo de arriba.
• Cualquier SFV: (Spam Filter Verdict, escrito en el encabezado complementario X-Forefront-Antispam-Report), con estos valores comunes:
  • SFV:NSPM: no es spam
  • SFV:SPM: spam
  • SFV:BLK: remitente bloqueado
  • SFV:SKA: remitente en una lista de permitidos de una política antispam (se omite)
  • SFV:SKB: el remitente coincidió con una lista de remitentes o dominios bloqueados de una política antispam
  • SRV:BULK: mensaje masivo en el umbral de BCL o por encima

Si ves SRV:BULK y los destinatarios se quejan de que tus correos van a no deseado, baja tu volumen de envío o mejora el engagement de las listas afectadas.

Authentication-Results

EOP escribe un encabezado Authentication-Results estándar. Busca:

Authentication-Results: spf=pass smtp.mailfrom=yourdomain.com;
  dkim=pass header.d=yourdomain.com; dmarc=pass action=none header.from=yourdomain.com;
  compauth=pass reason=100

Los campos clave:

• spf, dkim, dmarc: todos deben ser pass para sacar el máximo beneficio de reputación.
• compauth: el veredicto de autenticación compuesta de Microsoft. Pass / fail / softpass / none.
• reason: código de tres dígitos que explica el compauth. 100 es lo mejor (pass completo). Los códigos 1xx son pass, los 2xx son soft pass, y los 0xx y 6xx son fallos.

Un asesino de reputación común: SPF pasa para el dominio de rebotes del ESP, pero nada se alinea con tu dominio From y ninguna firma DKIM lo usa → compauth falla o da soft pass en lugar de pass. Firma DKIM con tu dominio From y compauth vuelve a pass.

Inspecciona cualquier mensaje con nuestro analizador de encabezados de correo.

Qué influye en el SCL

EOP no publica sus pesos, pero en la práctica dominan estos factores:

• Reputación de la IP de envío (interna de Microsoft).
• Veredicto de compauth (pass/fail).
• Si la política DMARC se aplica o no.
• Reputación de las URL en el cuerpo del mensaje.
• Patrones de contenido (proporción de imágenes, densidad de enlaces, palabras clave sospechosas).
• Tasa histórica de quejas del dominio.

Qué influye en el BCL

• Tasa de quejas de JMRP (del lado de Outlook.com, que se comparte con EOP).
• Reportes del complemento "Report message" de Microsoft 365.
• Engagement a nivel de buzón (eliminaciones masivas sin abrir).

Cómo bajar tu SCL/BCL

1. Pasa la alineación DMARC, no solo SPF o DKIM por separado.
2. Mantén la tasa de quejas por debajo de 0.1%. Usa JMRP para detectar y suprimir a quienes se quejan.
3. Vigila la reputación de las URL. No enlaces a dominios de hosting gratuito ni a redirecciones recién registradas.
4. Saca a los usuarios inactivos de los envíos masivos.
5. No mezcles correo transaccional y de marketing en el mismo subdominio.

Preguntas frecuentes

¿Dónde veo el SCL/BCL de un mensaje que envié? Envía un mensaje de prueba a un buzón de Microsoft 365 que controles. Abre el código fuente completo y busca los encabezados X-Microsoft-Antispam y X-MS-Exchange-Organization-SCL.

¿Puedo influir en el SCL solo con ajustes de contenido? Un poco. Dominan la reputación y la autenticación. Los ajustes de contenido (asuntos, densidad de enlaces) ayudan si todo lo demás ya está limpio.

¿EOP analiza las imágenes? Escanea las imágenes en busca de elementos visuales de phishing conocidos, pero no aplica OCR al texto. Un correo cargado de imágenes te perjudica sobre todo por la señal de contenido "sin texto plano, mucha proporción de imágenes".

Relacionado

• Por qué los correos terminan en no deseado en Outlook
• Guía de configuración de SNDS y JMRP

Fuentes

• Anti-spam message headers (Microsoft Learn), los campos X-Forefront-Antispam-Report y X-Microsoft-Antispam, cada valor SFV y los códigos reason de compauth.
• Spam confidence level (SCL) in Microsoft 365 (Microsoft Learn), qué significan los valores SCL y por qué ya no fijan la acción en los buzones en la nube.
• Bulk complaint level (BCL) in cloud organizations (Microsoft Learn), la escala BCL y los umbrales predeterminados: 7 en la política predeterminada, 6 en Standard, 5 en Strict.
• How email authentication works in Microsoft 365 (Microsoft Learn), cómo Microsoft 365 combina SPF, DKIM, DMARC y señales implícitas en la autenticación compuesta.
• RFC 8601: Message Header Field for Indicating Message Authentication Status, el encabezado Authentication-Results estándar que escribe EOP.